KI-Verordnung im Gesundheitswesen: was Einrichtungen jetzt vorbereiten
Stand: 2. August 2026
Die EU-KI-Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise angewendet. Die vollständigen Pflichten für Hochrisiko-KI-Systeme waren ab dem 2. August 2026 vorgesehen; durch den im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarten Digital Omnibus on AI verschieben sich Teile dieser Pflichten nach hinten. Unabhängig vom Zeitplan lassen sich die organisatorischen Grundlagen bereits jetzt schaffen.
- In Kraft seit 1. August 2024, stufenweise Anwendung
- Vollständige Hochrisiko-Pflichten waren ab 2. August 2026 vorgesehen
- Digital Omnibus on AI (Mai 2026): Teile verschieben sich nach hinten
- Zeitplan derzeit in Bewegung – Grundlagenarbeit lohnt trotzdem
- Hosting in der EU/Deutschland oder lokal, wenn möglich
Wer ist betroffen
Einrichtungen, die KI-Systeme einsetzen oder anbieten
Maßgeblich ist, welche KI-Systeme in der Einrichtung eingesetzt werden und in welcher Rolle – als Anbieter oder als Betreiber. Diese Einordnung ist je System zu klären, weil sich daraus unterschiedliche Pflichten ergeben.
- Arztpraxen und MVZ mit KI-gestützten Tools
- Kliniken und Klinikverbünde
- Therapieeinrichtungen und Heilberufe
- Gutachtenstellen mit KI-gestützter Auswertung
- Öffentliche Stellen im Gesundheitsbereich
- Einrichtungen mit Transkriptions- oder Dokumentationstools
- Einrichtungen mit Fragen zu den Datenschutzvoraussetzungen verschiedener Betriebsmodelle
Was jetzt zu tun ist
Was jetzt sinnvoll vorbereitet werden kann
Diese Punkte sind unabhängig vom weiteren Zeitplan tragfähig.
- 1
Vollständiges KI-Inventar anlegen
Alle eingesetzten KI-Systeme und -Funktionen erfassen, einschließlich Funktionen in bereits genutzter Software.
- 2
Rolle je System klären
Für jedes System festhalten, ob die Einrichtung als Anbieter oder als Betreiber auftritt, und die Einordnung dokumentieren.
- 3
KI-Kompetenz und Schulung sicherstellen
Mitarbeitende zu Funktionsweise, Grenzen und verantwortungsvollem Einsatz der genutzten Systeme schulen und die Schulung nachweisen.
- 4
Tools datenschutzrechtlich prüfen
Eingesetzte Tools nach DSGVO und § 203 StGB bewerten – insbesondere im Umgang mit Patientendaten.
- 5
Interne Nutzungsregeln festlegen
Verbindlich regeln, welche Systeme für welche Zwecke genutzt werden dürfen und welche Daten dabei nicht eingegeben werden.
- 6
Verantwortlichkeiten benennen
Festlegen, wer die Freigabe neuer KI-Tools verantwortet und wer das Inventar aktuell hält.
- 7
Dokumentation nachweisfähig ablegen
Inventar, Rollenklärung, Tool-Prüfungen und Schulungsnachweise strukturiert im digitalen Datenschutzordner führen.
- 8
Hosting-Standort prüfen
Verarbeitungsorte, Zugriffe und Datenübermittlungen des konkreten Systems prüfen. EU- oder lokaler Betrieb allein ist keine Datenschutzgarantie.
- 9
Zeitplan beobachten
Da sich Teile der Pflichten durch den Digital Omnibus on AI nach hinten verschieben, den Stand regelmäßig prüfen und die Unterlagen nachziehen.
Wie wir unterstützen
Persönliche Beratung zu KI-Einsatz und Datenschutz
Ihre Fragen, Voraussetzungen und mögliche nächste Schritte besprechen wir persönlich. Den konkreten Beratungsumfang klären wir im Gespräch.
- Fragen zu Datenschutz und Schweigepflicht
- Einordnung organisatorischer Voraussetzungen
- Mögliche nächste Schritte im persönlichen Gespräch
- Externe DSB-Betreuung als eigenständige Kernleistung
Empfohlener Einstieg
Datenschutz-Bestandsaufnahme – 690 € netto
Soll-Ist-Analyse mit vollständiger Dokumentation, AVV-Organisation, TOMs, Datenschutzerklärung und Mitarbeiterunterlagen.
Zur BestandsaufnahmeÜberblick
Alle Leistungen im Detail
Externer Datenschutzbeauftragter, Schulungen, Dokumentation, IT-Themen und Aktenvernichtung im Überblick.
Zu den LeistungenFAQ
Häufig gestellte Fragen.
- Seit wann gilt die EU-KI-Verordnung?
- Die EU-KI-Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise angewendet.
- Wann greifen die Pflichten für Hochrisiko-KI-Systeme?
- Die vollständigen Pflichten für Hochrisiko-KI-Systeme waren ab dem 2. August 2026 vorgesehen. Durch den im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarten Digital Omnibus on AI verschieben sich Teile dieser Pflichten nach hinten; der Zeitplan ist derzeit in Bewegung.
- Was ist der Digital Omnibus on AI?
- Es handelt sich um eine im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarte Anpassung, durch die sich Teile der Pflichten zeitlich nach hinten verschieben. Da der Zeitplan in Bewegung ist, verzichten wir auf feste Datumsangaben und arbeiten mit dem jeweils aktuellen Stand.
- Sind wir Anbieter oder Betreiber?
- Diese Rolle ist je eingesetztem System zu klären, weil sich daraus unterschiedliche Pflichten ergeben. Wir strukturieren die Einordnung und dokumentieren sie je System.
- Was sollten Einrichtungen unabhängig vom Zeitplan jetzt tun?
- Sinnvoll sind: ein vollständiges KI-Inventar anlegen, die Rolle als Anbieter oder Betreiber klären, KI-Kompetenz und Schulung der Mitarbeitenden sicherstellen sowie die eingesetzten Tools datenschutzrechtlich nach DSGVO und § 203 StGB prüfen.
- Warum spielt § 203 StGB bei KI-Tools eine Rolle?
- Beim Einsatz von Tools im Gesundheitswesen sind neben der DSGVO auch die Anforderungen der Schweigepflicht nach § 203 StGB zu berücksichtigen. Beides prüfen wir gemeinsam im Rahmen der Tool-Bewertung.
- Wo sollen KI-Systeme mit Patientendaten betrieben werden?
- Der Standort allein entscheidet nicht über die Zulässigkeit. Rechtsgrundlagen, Schweigepflicht, Datenflüsse, Verträge und Schutzmaßnahmen sind für den konkreten Anwendungsfall zu bewerten. Ihre Fragen zu den Voraussetzungen besprechen wir persönlich; Installation, Hosting und Betrieb werden hier nicht angeboten.
Unverbindliches Erstgespräch
Wir schauen uns Ihre Ausgangslage an und zeigen, welche organisatorischen Schritte für Ihre Einrichtung sinnvoll sind.
daviddoermann@datenschutz-gesund.de
Hinweis: Wir leisten datenschutzfachliche und organisatorische Unterstützung, Dokumentation, Strukturierung und Schulung – keine Rechtsberatung im Einzelfall und keine anwaltliche Rechtsberatung. Die abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber. Stand der Informationen: 2. August 2026.